Технический аудит · 29.05.2026

cpdp.bg

Комиссия по защите персональных данных Болгарии

Комиссия по защите персональных данных Болгарии — 64 запроса, 4 домена. Consent-менеджер CookiePro присутствует, но Google Fonts проскакивает мимо него и до согласия передаёт IP посетителя в Google (США). Аналитика Matomo размещена на собственном домене (в плюс), но также срабатывает до согласия. Google Fonts в политике не назван.

Хронология обращений

+1043 мс · Google Fonts до согласия

fonts.googleapis.com/css — Google Fonts. IP посетителя уходит в Google (США). Не удержан consent-менеджером.

+1084 мс · Matomo (self-hosted)

cpdp.bg/wp-content/... — скрипт Matomo на собственном домене (WordPress-плагин).

+1100 мс · чат-виджет

cdn.jsdelivr.net/npm/@typebot.io/js — сторонний чат-виджет Typebot с CDN библиотек.

+1168 мс · Matomo beacon до согласия

cpdp.bg matomo.php — action_name «КЗЛД», URL, разрешение экрана. Идентификатор посетителя в наблюдаемом beacon не передаётся.

Декларация против факта

✓ Политика упоминает бисквитки (cookie) и согласие обобщённо — заявлен

+ Google Fonts (fonts.googleapis.com) — IP в Google (США), до согласия, в политике не назван — не заявлен

+ Matomo (self-hosted, cpdp.bg) — до согласия; на собственном домене, без идентификатора посетителя в beacon (наблюдение) — не заявлен

+ Typebot (cdn.jsdelivr.net) — сторонний чат-виджет, не назван — не заявлен

Тайминги передачи

+1043 мс fonts.googleapis.com

Google Fonts. Google, США. Не удержан CMP.

+1084 мс cpdp.bg (Matomo)

Matomo на собственном домене. idsite=1. Без идентификатора посетителя в beacon.

+1100 мс cdn.jsdelivr.net

Typebot — сторонний чат-виджет.

Зафиксированные трекеры

Google Fonts (fonts.googleapis.com)
Matomo (self-hosted, cpdp.bg)
CookiePro / OneTrust (cookie-cdn.cookiepro.com) — CMP
Typebot (cdn.jsdelivr.net) — чатбот

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача
На +1043 мс загружается Google Fonts (fonts.googleapis.com), что передаёт IP посетителя в Google (США) до согласия. Consent-менеджер CookiePro (OneTrust) присутствует и загружается практически одновременно (+1041 мс), но Google Fonts им не удерживается. Google Fonts в политике не назван. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.
ePrivacy (болгарская имплементация) — сервисы до согласия
Помимо Google Fonts до согласия срабатывает самостоятельно размещённая аналитика Matomo (cpdp.bg, WordPress-плагин, idsite=1, +1168 мс) и загружается сторонний чат-виджет Typebot с cdn.jsdelivr.net. Matomo размещён на собственном домене и в наблюдаемом beacon не передаёт идентификатор посетителя, однако срабатывает до выбора пользователя. Consent-менеджер эти обращения не удерживает.

Контекст

cpdp.bg — сайт Комиссии по защите персональных данных Болгарии (Комисия за защита на личните данни, КЗЛД), надзорного органа GDPR в стране. Ответственный за обработку — КЗЛД. Предоставлена политика конфиденциальности (около 22 700 символов). Замер: 64 запроса, 4 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP через Google Fonts.

Заявленное против фактического

Политика КЗЛД упоминает использование бисквиток (cookie) и согласие в общих формулировках, но конкретных инструментов не называет.

Замер показывает смешанную картину. С одной стороны, аналитику орган размещает правильно: Matomo установлен на собственном домене (WordPress-плагин, idsite=1), а в наблюдаемом beacon передаются заголовок страницы, адрес и разрешение экрана, но не передаётся идентификатор посетителя — то есть настройка относительно щадящая. С другой стороны, на +1043 мс загружается Google Fonts с fonts.googleapis.com, что передаёт IP-адрес посетителя в Google (США). Consent-менеджер CookiePro (OneTrust) на сайте присутствует и загружается практически одновременно (+1041 мс), однако Google Fonts им не удерживается, равно как и Matomo (+1168 мс) и сторонний чат-виджет Typebot, загружаемый с cdn.jsdelivr.net (+1100 мс). Состояние сеанса — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан.

Таким образом, при наличии consent-менеджера сторонние обращения — прежде всего передача IP в Google через шрифты — происходят до согласия, а сами сервисы (Google Fonts, Matomo, CookiePro, Typebot) в политике не названы.

Тайминг относительно согласия

Google Fonts и Matomo загружаются на +1043–1168 мс, чат-виджет — на +1100 мс. Consent-менеджер присутствует, но эти обращения не удерживает; согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. В наблюдаемом beacon Matomo идентификатор посетителя отсутствует; поведение при других настройках замер не устанавливает. Google может использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (компания США). Самостоятельно размещённый Matomo при анонимизации может подпадать под освобождение от согласия. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт болгарского органа по защите данных размещает аналитику Matomo на собственном домене и без идентификатора посетителя в beacon — это правильная часть конфигурации. Однако до согласия он передаёт IP посетителя в Google через Google Fonts, а consent-менеджер CookiePro эту передачу не удерживает; ни Google Fonts, ни другие сервисы в политике не названы. Передача IP стороннему получателю в США до согласия и нераскрытие сервисов указывают на несоблюдение требований о согласии, о раскрытии получателей и о трансграничной передаче. Устранение простое: разместить шрифты локально на собственном домене, подчинить Matomo и чат-виджет результату выбора в CookiePro и назвать используемые сервисы в политике.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: bg/cpdp-bg-2026-05-29.har

SHA-256: 17fa0949a177eb1f0da4910229f8a49e5c9b6962af2cb0dedc48a57775b604a1

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — cpdp.bg

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта cpdp.bg.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На +1043 мс загружается Google Fonts (fonts.googleapis.com), что передаёт IP посетителя в Google (США) до согласия. Consent-менеджер CookiePro (OneTrust) присутствует и загружается практически одновременно (+1041 мс), но Google Fonts им не удерживается. Google Fonts в политике не назван. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) Помимо Google Fonts до согласия срабатывает самостоятельно размещённая аналитика Matomo (cpdp.bg, WordPress-плагин, idsite=1, +1168 мс) и загружается сторонний чат-виджет Typebot с cdn.jsdelivr.net. Matomo размещён на собственном домене и в наблюдаемом beacon не передаёт идентификатор посетителя, однако срабатывает до выбора пользователя. Consent-менеджер эти обращения не удерживает.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/bg-cpdp-bg/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — cpdp.bg

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website cpdp.bg.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) At +1043 ms, Google Fonts loads (fonts.googleapis.com), transmitting the visitor's IP address to Google (USA) prior to consent. The CookiePro (OneTrust) consent management platform is present and loads at almost the same moment (+1041 ms), but Google Fonts is not held back by it. Google Fonts is not named in the policy. Set-Cookie across the entire session is zero; no choice has been made by the user.

2) In addition to Google Fonts, a self-hosted Matomo analytics installation fires prior to consent (cpdp.bg, WordPress plugin, idsite=1, +1168 ms), and a third-party chat widget, Typebot, loads from cdn.jsdelivr.net. Matomo is hosted on the first-party domain and, in the observed beacon, does not transmit a visitor identifier; however, it fires before the user makes a choice. The consent management platform does not hold back these calls.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/bg-cpdp-bg/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: CPDP — Комиссия по защите персональных данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — cpdp.bg

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом cpdp.bg.

2. Обстоятельства
Я посетил сайт cpdp.bg и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На +1043 мс загружается Google Fonts (fonts.googleapis.com), что передаёт IP посетителя в Google (США) до согласия. Consent-менеджер CookiePro (OneTrust) присутствует и загружается практически одновременно (+1041 мс), но Google Fonts им не удерживается. Google Fonts в политике не назван. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан.

2) Помимо Google Fonts до согласия срабатывает самостоятельно размещённая аналитика Matomo (cpdp.bg, WordPress-плагин, idsite=1, +1168 мс) и загружается сторонний чат-виджет Typebot с cdn.jsdelivr.net. Matomo размещён на собственном домене и в наблюдаемом beacon не передаёт идентификатор посетителя, однако срабатывает до выбора пользователя. Consent-менеджер эти обращения не удерживает.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/bg-cpdp-bg/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача; ePrivacy (болгарская имплементация) — сервисы до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — cpdp.bg

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website cpdp.bg.

2. Circumstances
I visited the website cpdp.bg and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) At +1043 ms, Google Fonts loads (fonts.googleapis.com), transmitting the visitor's IP address to Google (USA) prior to consent. The CookiePro (OneTrust) consent management platform is present and loads at almost the same moment (+1041 ms), but Google Fonts is not held back by it. Google Fonts is not named in the policy. Set-Cookie across the entire session is zero; no choice has been made by the user.

2) In addition to Google Fonts, a self-hosted Matomo analytics installation fires prior to consent (cpdp.bg, WordPress plugin, idsite=1, +1168 ms), and a third-party chat widget, Typebot, loads from cdn.jsdelivr.net. Matomo is hosted on the first-party domain and, in the observed beacon, does not transmit a visitor identifier; however, it fires before the user makes a choice. The consent management platform does not hold back these calls.

Full technical documentation is published at: https://gdpru.eu/audits/bg-cpdp-bg/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and transfer; ePrivacy (Bulgarian implementation) — services prior to consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]